La ISO 27001 è la norma internazionale di riferimento per gestire la sicurezza delle informazioni. Quando si parla dei suoi domini si intende il modo in cui la norma raggruppa i controlli di sicurezza all’interno del suo Allegato A. Qui entra in gioco una sfumatura che crea non poca confusione, perché questa struttura è cambiata con la revisione del 2022 e il termine dominio appartiene in realtà alla versione precedente.
In questo articolo vedremo quanti domini prevedeva la norma, in cosa si sono trasformati e a cosa serve ciascun blocco, sia partendo dalla versione del 2013 sia lavorando già con quella del 2022.
Cosa sono i domini della ISO 27001?
I domini sono le grandi categorie in cui la ISO 27001 organizza i controlli di sicurezza del suo Allegato A. Ogni dominio raggruppa i controlli che riguardano uno stesso aspetto della sicurezza delle informazioni, come il controllo degli accessi, la sicurezza fisica o il rapporto con i fornitori.
La loro funzione è dare struttura al Sistema di Gestione per la Sicurezza delle Informazioni, il SGSI. Invece di gestire un elenco piatto con decine di controlli sparsi, l’organizzazione lavora per aree tematiche. Questo aiuta a distribuire le responsabilità, a valutare i rischi per blocchi e a verificare che nessun fronte resti scoperto.
Conviene chiarire subito un aspetto. La parola dominio corrisponde alla versione del 2013 della norma. La revisione del 2022 ha riorganizzato completamente l’Allegato A e ora parla di temi o categorie anziché di domini. Molti continuano a usare il termine più vecchio, quindi nel corso dell’articolo vedremo entrambe le strutture e come si corrispondono.
Quanti domini ha la ISO 27001?
La risposta dipende dalla versione della norma.
La ISO 27001 del 2013 organizzava i suoi 114 controlli in 14 domini. La ISO 27001 del 2022, che è la versione in vigore, riorganizza i suoi 93 controlli in 4 temi. Quindi, quando si chiede dei 14 domini ci si riferisce alla struttura del 2013, mentre quando si cerca la classificazione attuale si parla di 4 grandi blocchi.
La ISO 27001 del 2013 e i suoi 14 domini
La versione del 2013 distribuiva i suoi 114 controlli in 14 domini, ognuno incentrato su un aspetto specifico della sicurezza delle informazioni. Ecco i 14 domini.
- Politiche per la sicurezza delle informazioni
- Organizzazione della sicurezza delle informazioni
- Sicurezza delle risorse umane
- Gestione degli asset
- Controllo degli accessi
- Crittografia
- Sicurezza fisica e ambientale
- Sicurezza delle attività operative
- Sicurezza delle comunicazioni
- Acquisizione, sviluppo e manutenzione dei sistemi
- Relazioni con i fornitori
- Gestione degli incidenti relativi alla sicurezza delle informazioni
- Continuità operativa
- Conformità
Anche se questa struttura non è più quella ufficiale, conoscerla resta utile. Molte organizzazioni certificate prima della transizione la usano ancora come riferimento e buona parte della documentazione disponibile si basa su di essa.
La ISO 27001 del 2022 e i suoi 4 temi
La versione del 2022 persegue gli stessi obiettivi di fondo, ma riorganizza i 93 controlli in soli 4 temi più ampi. Eccoli.
- Controlli organizzativi (37 controlli).
- Controlli relativi alle persone (8 controlli).
- Controlli fisici (14 controlli).
- Controlli tecnologici (34 controlli).
Più avanti vedremo nel dettaglio cosa comprende ciascuno di questi quattro temi e come si collegano ai vecchi domini.
I 4 temi di controlli della ISO 27001 nel 2022
La versione del 2022 sostituisce i 14 domini con 4 temi che raggruppano i 93 controlli dell’Allegato A. Ogni tema riunisce i controlli in base al tipo di risorsa o di responsabile coinvolto. Sommando i quattro blocchi si ottengono i 93 controlli dell’Allegato A in vigore.
- Controlli organizzativi (37 controlli): sono i controlli legati alla governance, alle politiche, ai ruoli e alla pianificazione della sicurezza. Rientrano qui aspetti come le politiche di sicurezza, la gestione dei rischi, il rapporto con i fornitori o la risposta agli incidenti. È il blocco più ampio e di solito ricade sulla direzione e sui responsabili di area.
- Controlli relativi alle persone (8 controlli): riuniscono tutto ciò che riguarda il fattore umano, dalla selezione e formazione del personale fino alle responsabilità di ogni collaboratore in materia di sicurezza delle informazioni e di lavoro da remoto.
- Controlli fisici (14 controlli): proteggono le sedi e i supporti in cui le informazioni vengono archiviate o elaborate. Comprendono il controllo degli accessi ai locali, la protezione delle apparecchiature e la sorveglianza fisica.
- Controlli tecnologici (34 controlli): raggruppano le misure tecniche che proteggono sistemi, reti e dati, come la cifratura, la gestione degli accessi logici, i backup, il filtraggio web o lo sviluppo sicuro.
Da 14 domini a 4 temi, cosa è cambiato nel 2022?
La revisione del 2022 non si è limitata a rinominare i domini. Ha riorganizzato a fondo l’Allegato A con tre cambiamenti principali.
- Da 114 a 93 controlli: il numero totale è diminuito perché sono stati fusi i controlli che si sovrapponevano o risultavano ridondanti. Ciò che prima era distribuito su più controlli simili è stato semplicemente accorpato in un unico controllo.
- Undici nuovi controlli: la norma ha introdotto 11 controlli assenti nel 2013, che rispondono a minacce e tecnologie più recenti. Coprono ambiti come la threat intelligence, la sicurezza dei servizi cloud, la preparazione ICT per la continuità operativa, il monitoraggio della sicurezza fisica, la gestione della configurazione, la cancellazione delle informazioni, il mascheramento dei dati, la prevenzione della perdita di dati, le attività di monitoraggio, il filtraggio web e la codifica sicura.
- Gli attributi: la versione del 2022 aggiunge etichette a ogni controllo per poterli classificare e filtrare in vari modi. Ad esempio, per tipo di controllo, per proprietà di sicurezza, per concetto di cybersecurity, per capacità operativa o per dominio di sicurezza. Questo aiuta ad adattare i controlli al contesto di ogni organizzazione e a collegarli ad altri framework come il NIST.
Come implementare i domini della ISO 27001?
Implementare i controlli dell’Allegato A, i cosiddetti domini o temi, segue un processo ordinato che parte dall’analisi dei rischi e non si conclude con la certificazione. Ecco i passaggi consueti per metterli in pratica.
1. Realizzare l’inventario degli asset e l’analisi dei rischi
Prima di intervenire su qualsiasi controllo, l’organizzazione deve sapere cosa protegge e da cosa. Il punto di partenza è un inventario degli asset informativi, ovvero i dati, i sistemi, le apparecchiature e i servizi che sostengono l’attività. Su questo inventario si individuano le minacce a cui è esposto ogni asset e le lacune presenti rispetto alla sicurezza già in essere.
Questa analisi è la base di tutto il resto, perché determina quali controlli servono davvero e con quale priorità. Senza di essa si rischia di implementare misure che non aggiungono nulla e di lasciare scoperti rischi importanti.
2. Selezionare i controlli e redigere la Dichiarazione di Applicabilità
Partendo dall’analisi dei rischi, l’organizzazione decide quali controlli dell’Allegato A applicare e quali escludere, sempre con una motivazione scritta. Questo documento si chiama Dichiarazione di Applicabilità, nota con la sigla inglese SoA, ed è uno di quelli che l’auditor esamina con maggiore attenzione.
È bene ricordare che la norma non obbliga a implementare tutti i 93 controlli. Vanno applicati solo quelli giustificati dal proprio livello di rischio, quindi una buona analisi preliminare consente di risparmiare lavoro e burocrazia inutile in seguito.
3. Implementare le misure, formare il team e documentare
Una volta scelti i controlli arriva la fase operativa. Si mettono in atto le politiche e le misure tecniche e organizzative, si assegna un responsabile a ogni controllo e si forma il personale coinvolto, perché molti controlli funzionano solo se le persone adottano i comportamenti giusti.
In parallelo, tutto viene documentato. Ogni politica, procedura e decisione deve lasciare traccia, perché durante un audit ciò che non è documentato è come se non esistesse. Tenere questa documentazione ordinata e accessibile è uno dei punti in cui le organizzazioni si bloccano più spesso.
È qui che uno strumento di gestione IT e conformità come Factorial IT fa la differenza. Centralizzare in un unico posto l’inventario degli asset, il controllo della flotta aziendale e degli accessi e la documentazione del SGSI evita la dispersione dei fogli di calcolo e permette di arrivare all’audit con tutto aggiornato e facile da reperire.
4. Verificare e migliorare in modo continuo
Infine, si svolgono audit interni periodici per verificare che i controlli funzionino come dovrebbero e si corregge ciò che serve. La ISO 27001 si basa sul miglioramento continuo. Questo ciclo fatto di revisione, aggiustamento e nuova misurazione non si conclude con la certificazione. Si ripete nel tempo per adattarsi a nuovi rischi e ai cambiamenti dell’organizzazione.
